Fake-Inkasso nach Datenleck: Betrug mit erbeuteten Kundendaten

Nach einem Datenleck folgt oft die nächste Betrugswelle: gefälschte Inkassoforderungen mit echten Kundendaten – wir erklären, wie Sie Fake Inkasso Datenleck-Schreiben erkennen und sich wehren.

Wenn ein Onlinehändler, ein Zahlungsanbieter oder eine Auskunftei Opfer eines Datenlecks wird, sind es meist nicht nur Namen und E-Mail-Adressen, die abfließen. Auch Bestellnummern, Rechnungsbeträge, Kundennummern und teilweise sogar Vertragsdetails geraten in falsche Hände. Genau diese Informationen nutzen Täter für eine besonders wirksame Betrugsmasche: Fake Inkasso Datenleck nennen wir sie, weil die gefälschten Forderungen erst durch die zuvor erbeuteten echten Daten glaubwürdig werden.

Anders als bei klassischem Massen-Spam wirkt ein Schreiben, das die richtige Bestellnummer, den korrekten Rechnungsbetrag oder die tatsächliche Kundennummer enthält, auf den ersten Blick seriös. Betroffene zahlen aus Angst vor einer SCHUFA-Eintragung oder einem Gerichtsverfahren, obwohl gar keine offene Forderung besteht.

Dieser Beitrag ordnet die Masche rechtlich ein, zeigt, woran Sie eine unberechtigte Forderung erkennen, und erläutert, welche Ansprüche Ihnen sowohl gegenüber den Betrügern als auch gegenüber dem Unternehmen zustehen, bei dem das Datenleck ursprünglich entstanden ist. Wer die typischen Muster von Fake Inkasso Datenleck einmal kennt, erkennt eine gefälschte Forderung meist schon beim ersten Lesen und vermeidet eine überstürzte Zahlung.

Die Betrugsmasche Fake Inkasso Datenleck: Muster und Anzeichen

Ausgangspunkt ist fast immer ein realer Sicherheitsvorfall: ein gehackter Onlineshop, ein kompromittierter Zahlungsanbieter oder eine Auskunftei, deren Datenbank abfließt. Die Täter kaufen oder erhalten diese Datensätze über einschlägige Foren und filtern sie nach verwertbaren Informationen: Name, Anschrift, E-Mail, teilweise Bestellhistorie oder eine ehemals offene Position. Auf dieser Grundlage verschicken sie täuschend echt wirkende Mahnungen, die angeblich eine Restforderung aus einem längst erledigten oder nie bestandenen Vertrag betreffen und dabei eine bekannte Marke oder ein real existierendes Inkassounternehmen missbrauchen, dessen Namen und Logo die Täter kopieren.

• Korrekte persönliche Daten (Name, Adresse, teils Kundennummer) aus dem vorherigen Datenleck
• Extrem kurze Zahlungsfrist, häufig 24 bis 48 Stunden
• Drohung mit sofortiger SCHUFA-Meldung oder gerichtlichem Mahnverfahren ohne vorherige Rechnung
• Zahlungsaufforderung an ein ausländisches Konto oder eine sonst nicht plausible Bankverbindung
• Kontaktaufnahme per SMS, WhatsApp oder E-Mail statt auf dem für Inkassoschreiben üblichen Postweg
• Kein nachvollziehbares Aktenzeichen und keine überprüfbare Registrierung im Rechtsdienstleistungsregister

Warum echte Daten diese Betrugsmasche so gefährlich machen

Bei gewöhnlichem Phishing fällt vielen Empfängern schnell auf, dass ein Anbieter genannt wird, mit dem sie nie in Kontakt standen. Genau diese Schutzbarriere entfällt, wenn die Täter über ein Datenleck an echte Kundenbeziehungen gelangt sind. Ähnliche Effekte kennen wir aus anderen Betrugsformen, bei denen erbeutete Profildaten für gezielte Täuschung genutzt werden, etwa beim Missbrauch gehackter Social-Media-Profile oder bei gefälschten Apps, die gezielt Zugangsdaten aus dem App Store abgreifen.

Die Kombination aus echten Daten und psychologischem Druck ist der eigentliche Kern der Masche: Wer seine korrekte Bestellnummer schwarz auf weiß liest, hinterfragt die angebliche Forderung seltener kritisch und zahlt aus Sorge vor negativen Konsequenzen, statt die Rechtsgrundlage zu prüfen. Betroffene berichten häufig, dass sie erst nach der Zahlung stutzig wurden, weil weder ein Gericht noch ein tatsächlicher Gläubiger je etwas von der angeblichen Forderung wusste – ein klassisches Kennzeichen von Fake Inkasso Datenleck.

Rechtliche Einordnung: Betrug nach § 263 StGB

Wer mit einer fingierten Inkassoforderung eine Zahlung erschleicht, täuscht sein Opfer über das Bestehen einer tatsächlichen Forderung und verschafft sich dadurch einen rechtswidrigen Vermögensvorteil. Das ist der klassische Tatbestand des Betrugs nach § 263 StGB: Täuschung eines Menschen über Tatsachen, dadurch bedingter Irrtum, darauf beruhende Vermögensverfügung und Schaden. Wird zusätzlich technisch auf ein Zahlungssystem eingewirkt, kann § 263a StGB ergänzend hinzukommen – die Hauptnorm bei täuschenden Inkassoschreiben bleibt jedoch § 263 StGB, weil ein Mensch und keine Maschine getäuscht wird.

Ein echtes Inkassounternehmen ist demgegenüber im Rechtsdienstleistungsregister registriert, benennt den ursprünglichen Gläubiger und die konkrete Forderungsgrundlage nachvollziehbar und agiert grundsätzlich nicht mit Fristen von wenigen Stunden. Fehlt eine dieser Angaben, spricht viel für eine unberechtigte Forderung.

Ihre Rechte gegenüber dem Unternehmen, bei dem das Datenleck entstand

Neben dem eigentlichen Betrugsversuch stellt sich eine zweite, oft übersehene Frage: Welche Ansprüche bestehen gegenüber dem Unternehmen, dessen mangelhafte Datensicherheit den Datenabfluss überhaupt erst ermöglicht hat? Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (BGH VI ZR 10/24) klargestellt, dass bereits der bloße, auch nur vorübergehende Kontrollverlust über personenbezogene Daten infolge eines DSGVO-Verstoßes ein ersatzfähiger immaterieller Schaden nach Art. 82 Abs. 1 DSGVO sein kann, ohne dass ein konkreter Missbrauch der Daten nachgewiesen werden muss.

Als Richtwert für einen reinen Kontrollverlust nennt die höchstrichterliche Rechtsprechung Beträge im Bereich von rund 100 Euro; nachweisbare Ängste oder Folgeaufwand können den Betrag erhöhen. Ergänzend steht Betroffenen ein Auskunftsanspruch aus Art. 15 DSGVO gegenüber dem betroffenen Unternehmen zu, um zu klären, welche Daten konkret betroffen waren und wie der Vorfall aufgeklärt wurde.

Berechtigte von unberechtigten Inkassoforderungen unterscheiden

Nicht jede Zahlungsaufforderung nach einem Datenleck ist automatisch Betrug – es kann sich auch um eine tatsächlich offene, nur zufällig zeitlich zusammenfallende Forderung handeln. Prüfen Sie daher systematisch:

• Ist der Absender im Rechtsdienstleistungsregister als Inkassodienstleister eingetragen?
• Wird der ursprüngliche Gläubiger und die konkrete Vertrags- oder Rechnungsnummer genannt?
• Erhielten Sie vorher überhaupt eine Rechnung oder Mahnung des angeblichen Gläubigers?
• Ist die Zahlungsfrist angemessen und wird eine reguläre Bankverbindung des Gläubigers genannt?
• Wird mit Konsequenzen gedroht, die ohne vorheriges Gerichtsverfahren gar nicht eintreten können?

Ähnliche Prüfschritte helfen auch bei verwandten Maschen wie gefälschten SCHUFA-Bonitätsanfragen oder bei angedrohten Kontopfändungen, die ebenfalls häufig mit unrealistischen Fristen operieren.

Sofortmaßnahmen: Was tun, wenn ein Fake-Inkasso-Schreiben eintrifft

Zahlen Sie unter keinen Umständen sofort, nur weil die Frist kurz erscheint. Bewahren Sie das Schreiben, die genannte Bankverbindung und, sofern vorhanden, E-Mail-Header oder Absendernummer als Beweismittel auf. Bestreiten Sie die Forderung schriftlich und fordern Sie eine nachvollziehbare Forderungsaufstellung sowie den Nachweis der Inkassoberechtigung – ein seriöser Gläubiger kann und wird diese liefern.

Geben Sie keine weiteren personenbezogenen oder finanziellen Daten preis, auch nicht zur angeblichen „Identitätsprüfung“. Wenn Sie unsicher sind, ob eine reale Vertragsbeziehung besteht, lassen Sie das Schreiben anwaltlich prüfen, bevor Sie reagieren.

Strafanzeige stellen und Akteneinsicht als Geschädigter

Fake Inkasso Datenleck erfüllt regelmäßig den Tatbestand des § 263 StGB und sollte bei der Polizei angezeigt werden, auch wenn die Täter oft im Ausland sitzen und eine Strafverfolgung praktisch schwierig bleibt. Die Anzeige dokumentiert den Vorfall und ist häufig Voraussetzung, um gegenüber Banken oder dem ursprünglich betroffenen Unternehmen weitere Auskünfte zu erhalten – ein Muster, das sich auch bei anderen digitalen Betrugsformen wie gefälschten Bankanzeigen zeigt.

Als Geschädigter steht Ihnen zudem ein Recht auf Akteneinsicht nach § 406e StPO zu. Diese erfolgt in der Praxis regelmäßig über einen Rechtsanwalt, der ein berechtigtes Interesse darlegt; ein nicht anwaltlich vertretener Geschädigter kann ebenfalls Einsicht nehmen, meist unter Aufsicht oder durch Übersendung von Kopien. Über einen Rechtsanwalt lässt sich der Verfahrensstand jedoch in der Regel schneller und vollständiger klären.

Verjährung, Fristen und Rückforderung nach § 812 BGB

Zivilrechtliche Ansprüche, etwa der Schadensersatzanspruch aus Art. 82 DSGVO wegen des Kontrollverlusts, verjähren regelmäßig innerhalb von drei Jahren (§ 195 BGB i.V.m. § 199 BGB), wobei die Frist erst mit Kenntnis von Schaden und Schädiger zu laufen beginnt. Unabhängig davon gilt für den Schadensersatzanspruch aus Art. 82 DSGVO eine kenntnisunabhängige Höchstfrist von zehn Jahren ab Entstehung des Anspruchs beziehungsweise dreißig Jahren ab dem schädigenden Ereignis, maßgeblich ist jeweils die früher endende Frist (§ 199 Abs. 3 BGB). Für den Bereicherungsanspruch aus § 812 BGB gilt demgegenüber die Höchstfrist von zehn Jahren nach § 199 Abs. 4 BGB.
Strafrechtlich verjährt der einfache Betrug nach § 263 StGB in der Regel nach fünf Jahren – eine von der zivilrechtlichen Frist streng zu trennende Grenze.

Haben Sie bereits auf eine gefälschte Forderung gezahlt, besteht ein Rückforderungsanspruch aus § 812 BGB, weil die Zahlung ohne rechtlichen Grund erfolgte. In der Praxis ist dieser Anspruch gegenüber anonymen oder im Ausland agierenden Tätern schwer durchzusetzen, weshalb der schnellen Reaktion die größte Bedeutung zukommt: Informieren Sie unverzüglich Ihre Bank, ob eine Überweisung noch gestoppt oder zurückgerufen werden kann, solange sie nicht endgültig ausgeführt ist. Parallel sollte die Strafanzeige gestellt und die Verantwortung des ursprünglich betroffenen Unternehmens für den Kontrollverlust geprüft werden.

Prävention: Wie Sie sich nach einem Datenleck zusätzlich schützen

Nach einer Benachrichtigung über ein Datenleck sollten Sie betroffene Zugangsdaten sofort ändern, wo möglich eine Zwei-Faktor-Authentifizierung aktivieren und Kontoauszüge sowie SCHUFA-Auskünfte in den folgenden Monaten aufmerksam prüfen. Seien Sie bei jeder unerwarteten Kontaktaufnahme, die Bezug auf das Datenleck nimmt, besonders wachsam – die Täter nutzen den zeitlichen Zusammenhang gezielt aus, ähnlich wie bei gefälschten Gebührenforderungen im Krypto-Bereich.

Unternehmen selbst trifft nach einem Datenleck eine eigene Meldepflicht gegenüber Aufsichtsbehörden und teils den Betroffenen; mit dem seit Dezember 2025 geltenden NIS-2-Umsetzungsgesetz sind diese Pflichten für viele Anbieter zusätzlich verschärft worden. Für Betroffene bleibt der wichtigste Schutz jedoch die eigene Wachsamkeit gegenüber jeder verdächtigen Forderung nach einem Fake Inkasso Datenleck.

Sinnvoll ist zudem, betroffene Zugänge nicht nur einmalig, sondern auch bei erneuten Warnmeldungen des betroffenen Anbieters zu prüfen, da Täter erbeutete Datensätze häufig über einen längeren Zeitraum in Wellen für mehrere Betrugsversuche nutzen. Wer eine verdächtige Forderung erhält, sollte sie zudem an die Verbraucherzentrale oder direkt an eine spezialisierte Kanzlei weiterleiten, damit die Masche dokumentiert und andere Betroffene gewarnt werden können.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Fake Inkasso Datenleck